Katalog podatności CVE

Podatność CVE-2026-56148 w Elasticsearch umożliwia niekontrolowaną rekurencję, co prowadzi do odmowy usługi. Uwierzytelniony użytkownik może wysłać specjalnie spreparowane zapytanie, które powoduje nadmierne zużycie zasobów podczas przetwarzania, potencjalnie uniemożliwiając działanie dotkniętego węzła.

Podatność CVE-2026-49088 w Kibanie umożliwia wstawianie wrażliwych informacji do plików dziennika. Gdy opcjonalne monitorowanie wydajności aplikacji (APM) jest włączone, wrażliwe wartości nagłówków żądań mogą być rejestrowane w logach aplikacji.

Podatność CWE-770 w Kibanie umożliwia atak DoS poprzez nadmierną alokację zasobów. Uwierzytelniony użytkownik może wysłać spreparowane żądanie masowego usunięcia, powodując wyczerpanie zasobów i niedostępność Kibany.

Podatność w systemie językowym Guardian polega na braku sanityzacji parametru GET 'id' przed wstawieniem go do kodu HTML i atrybutów akcji formularza w pliku media.php (linie 119, 129). Uwierzytelniony atakujący może stworzyć URL, który wstrzykuje znaczniki skryptów wykonujące się w sesji przeglądarki ofiary.

Podatność w systemie językowym Guardian polega na braku sanityzacji parametru GET 'id' przed wstawieniem go do atrybutów akcji formularzy HTML w pliku text_file.php. Uwierzytelniony atakujący może stworzyć URL, który wstrzykuje znaczniki skryptów wykonujące się w sesji przeglądarki ofiary.

Podatność XSS w systemie językowym Guardian polega na braku sanityzacji parametru GET 'name' przed wyświetleniem go w atrybucie wartości pola HTML w pliku designer.php (linia 57). Uwierzytelniony atakujący może stworzyć URL zawierający znaczniki skryptów, które wykonają się w sesji przeglądarki ofiary.

Wtyczka Webba Booking dla WordPressa zawiera lukę braku autoryzacji, która umożliwia wykorzystanie nieprawidłowo skonfigurowanych poziomów bezpieczeństwa kontroli dostępu. Luka dotyczy wersji od n/a do 6.4.13 włącznie.

Interfejs webowy genucenter przed wersją 8.0p11 niepotrzebnie ujawnia wrażliwe klucze uwierzytelniania i szyfrowania SNMP w odpowiedziach HTTP dla użytkowników z rolą „Serwis” lub „Administrator”.

Podatność w bibliotece Keras (do wersji 3.13.2 włącznie) umożliwia odczyt dowolnego pliku HDF5 z systemu ofiary. Wynika to z niepełnej poprawki dla CVE-2026-1669 i braku weryfikacji właściwości `dataset.is_virtual` w metodach `H5IOStore._verify_dataset()` oraz `file_editor.py`. Atakujący może dostarczyć złośliwy plik modelu `.keras` lub wag `.h5` zawierający wirtualny zestaw danych (VDS) odnoszący się do zewnętrznych plików HDF5.

Podatność w Stormshield Network Security pozwala na uwierzytelnienie przy użyciu cofniętego certyfikatu klienta w portalu captive-admin. Atakujący posiadający taki certyfikat może uzyskać dostęp administracyjny.

Podatność XSS w rozszerzeniu Timeline MediaWiki pozwala atakującemu na wstrzyknięcie złośliwego kodu JavaScript poprzez nieprawidłową neutralizację danych wejściowych podczas generowania strony. Problem dotyczy plików includes/Timeline.php oraz scripts/EasyTimeline.pl.

W MediaWiki wykryto podatność na ataki XSS (Cross-site Scripting) spowodowaną niewłaściwą neutralizacją danych wejściowych podczas generowania stron. Problem dotyczy wielu plików źródłowych, w tym Language.php i różnych formaterów logów.

Podatność w MediaWiki umożliwia nieautoryzowanemu aktorowi dostęp do wrażliwych informacji. Problem występuje w pliku includes/Actions/InfoAction.php.

W MediaWiki przed wersjami 1.46.0, 1.45.4, 1.44.6 i 1.43.9 występuje podatność na ataki XSS w pliku resources/src/mediawiki.Api/index.js. Brak odpowiedniej neutralizacji danych wejściowych podczas generowania stron internetowych umożliwia wstrzyknięcie złośliwego skryptu.

Podatność XSS w rozszerzeniu SyntaxHighlight_GeSHi MediaWiki umożliwia atakującemu wstrzyknięcie złośliwego skryptu przez nieprawidłową neutralizację danych wejściowych. Problem dotyczy pliku includes/SyntaxHighlight.php i występuje w wersjach przed 1.46.0, 1.45.4, 1.44.6 oraz 1.43.9.

Podatność w MediaWiki umożliwia nieautoryzowany dostęp do funkcji uwierzytelniania i zarządzania kontami. Problem dotyczy plików API i stron specjalnych odpowiedzialnych za zmianę, łączenie i usuwanie danych uwierzytelniających.

Podatność XSS w MediaWiki i CentralAuth umożliwia atakującemu wstrzyknięcie złośliwego skryptu do strony generowanej przez aplikację. Problem dotyczy kilku plików źródłowych, w tym ApiFormatBase.php i ApiHelp.php.

Podatność w rozszerzeniu AbuseFilter Wikimedia Foundation umożliwia nieautoryzowanemu aktorowi dostęp do wrażliwych informacji. Problem występuje w pliku includes/Api/QueryAbuseFilters.php.

Podatność w MediaWiki umożliwia nieautoryzowanemu aktorowi dostęp do wrażliwych informacji. Problem występuje w pliku includes/Parser/Parser.php i dotyczy wersji przed 1.46.0, 1.45.4, 1.44.6 oraz 1.43.9.

Podatność w MediaWiki umożliwia nieautoryzowanemu aktorowi dostęp do wrażliwych informacji poprzez plik includes/Api/ApiUserrights.php. Problem dotyczy wersji przed 1.46.0, 1.45.4, 1.44.6 oraz 1.43.9.